为电动汽车 (EV) 和混合电动汽车 (HEV) 设计可靠的电池管理系统时，有一系列方法可以考虑。就实现可靠性而言，一种方法是采用完全冗余的电路，当然此时假定费用不成问题。这类系统使用完全一样的电路并行执行相同的功能，并就结果进行某种形式的表决，以总是获得最安全的效果。在这类系统中，如果检测到故障电路，就自动停止使用故障电路，并由一个同样的备份电路取代该故障电路。然而，在有些系统中，故障的后果并不能用高昂成本的冗余电路来承担。那么，这类系统可能只依靠每个所用组件的内置可靠性。尽管能以最低成本提供具有这种特点的设计，但是这种设计有很大的风险。不过，对这个问题有一种最佳的解决办法。 

高可靠性系统的中庸解决之道是故障监视，采用这种办法时，电路监视各种不同的系统组件，并报告任何异常现象。既然故障可能在任何时间、在电路中的任何地方出现，因此监视的组件越多越好。对检测到的故障的反应既可以是彻底的系统停机，也可以是类似汽车中的报警灯之类的简单服务告警。 

实现更长电池寿命的挑战 

锂离子电池因高能量密度而广受欢迎，与具有同等能量的其他化学组成的电池相比，由锂离子电池组成的电池组会更小和更轻。就诸如电动型汽车等大功率应用而言，数百个电池叠置在一起，以构成一个高压电源，从而使较小的电流通过较细和重量较轻的配线。在这类汽车应用中，驾驶员的安全是最重要的，接下来是车主的满意度。因此，有强大的动力驱使人们实现安全和可靠的长期运行。为达到此目的，必须连续监视每一节电池上的电量，以在数年使用中一直保持最佳水平。 

最简单的形式是，要求电路测量电池组中每节电池上的电压。这种测量一般由一个模数转换器 (ADC) 执行，该 ADC 将信息传递给一个微控制器。该控制器仔细管理所有电池的充电和放电，以使这些电池使用时不超出一个严格的范围，因超出这个范围可能极大地缩短电池的寿命。在系统中有数百个电池时，一个集成的测量电路可以极大地减少组件数量。凌力尔特公司的 LTC6802 就是这样一种集成的功能构件，该器件通过一个内置的 12 位 ADC 测量多达 12 节电池的电压。任何数量的电池都可以相互叠置，以 12 个电池为一组，将所测得的每组电压串行传送到一个主微控制器。这些组件构成了电池管理系统的核心。

就延长电池的可用寿命而言，仔细控制每节电池的充电状态非常重要，但是要满足日益苛刻的汽车客户的要求，这也许还不够。要使客户长期满意、无忧无虑，对系统进行“假设-结果”分析是必要的。要考虑的几个关键问题是：要是一条连接到电池的导线断开了会怎么样？如果电压测量准确度偏移了会怎么样？要是测量 IC 不知怎么被系统电压瞬态损坏了又会怎么样?

大多数隐伏的故障都会使控制器认为电池或电池组处于完美状态，而事实上，电池没有得到准确测量。然后，在没有向系统提供警报的情况下，这些电池可能完全放电或被危险地过冲电。需要某个东西来“监视监视器”，以实现更高水平的可靠运行。 

BMS 故障监视 

作为完全冗余测量方法的替代方法，故障监视电路与测量器件并联连接，并起到对系统基本功能进行复核的作用。图 1 电路显示了这种方法的电路实现，该电路采用 LTC6802 测量器件，用于一个由 12 节锂离子电池组成的电池组，还采用了一个伴随的 LTC6801 故障监视器件。

LTC6802-1 是系统中的主要电子器件，按照指令测量并报告每节电池的电压，以及给电池加上放电电流以在每节电池上分配电量。同时，LTC6801 也监视电池组上的每节电池。不用系统控制器的干预，LTC6801 周期性地对每节电池的电压采样，并执行简单的欠压和过压比较。如果一切正常，那么 LTC6801 就在状态输出 (Status Output) 线上提供一个差分时钟信号。如果有事情不对头，这个时钟就停止。它不提供有关问题实质的信息，它仅表明有些情况不太正常。这个时钟一旦停止，控制器就可以执行诊断程序，以确定问题的具体性质。

LTC6801 在设计时仔细考虑了很多潜在的系统故障，同时还具有易用性。一个重要的设计要求是，允许该器件在没有任何软件的情况下自动工作。惟一的外部要求是由电池组本身提供的电源，以及一个使能时钟信号。如果没有使能时钟输入，LTC6801 就停在静态低功率状态。该器件工作特性的所有设定都由器件引脚搭接完成，无需外部组件。

任何数量的 LTC6801 都可以相互叠置，以在电压非常高的系统中监视数百个电池 (参见图 2)。使能时钟经过缓冲，并且是在两条信号线上输出，这两条信号线连接至这组器件中上一个器件的使能输入。该使能时钟在每个器件中进出，一直到这组器件的顶端。类似地，来自每个器件最重要的状态输出时钟向下传递到这组器件中下一个器件的状态输入 (Status Input) 引脚。如果在任何时间、在电池组任何地方的任何电池上检测到任何故障，监视问题电池的那个器件的状态时钟就停止触发。这种静止状态将沿着这组器件一直传递到最底端的器件。时钟转换停止后，这个器件就可以发出检修故障的信号。

为状态线提供连续时钟是一种重要的功能。在指示系统中是否一切正常时，标记任何系统故障的静态逻辑电平都有可能出现错误的逻辑状态。这会使故障监视方案失去作用。采用时钟机制，监视器件必须连续工作，以保持时钟运行，而且系统中一切都必须正常，否则它就停止。故障信号不可能固定在一切正常状态。

监视器件的问题 

毫无疑问，通过冗余监视提高了系统的可靠性，但是怎样才能确保监视器件本身正常工作呢？防止不可检测的故障模式是非常重要的。为了解决这个问题，LTC6801 提供一种内置的自动自测试功能。该自测试功能可在每 1024 个测试周期后自动执行。这种自测试检查 4 种主要功能。 

检查 ADC、电压基准和比较器是否正常工作是测试内容之一。检查内部基准电压以确保它处于严格的窗口之内。另外，欠压和过压状态也是内部产生的，比较器必须有响应。这样就可以有把握地保证 ADC 的模拟部分工作正常，而且同样有把握的是，比较门限可以改变并且是准确的。 

ADC 的数字部分也要测试。两个测试信号强制 12 位输出编码为 0xAAA 或 0x555，在 1 和 0 之间交替变化。这样就可以确认，没有 ADC 位被固定。 

多路复用器开关故障可能导致一节或多节电池被跳过，而其他电池则被反复测量。跳过电池意味着，坏电池可能未检测到。自测试确保每节电池都得到测量，或每个错误都得到标记。 

第四个非常重要的自测试功能决定是否有电池连接是开路的。就这项测试而言，每节电池都用很小的 100uA 下拉电流进行测量，就一个开路的电池连接而言，该电流将产生误差。这种周期性的自测试使系统能更加可靠地运行。检查正在执行检查功能的器件，能更加肯定系统中一切正常。 

在系统中保持所有电池都处于恰当的充电水平，将使昂贵电池组的服务时间延长数年。LTC6801 是一种经济实惠的方式，可通过冗余故障监视改善锂离子电池管理系统的长期可靠性。LTC6801 与更精准的电池测量系统并联运行，提供了一种复核功能，可检查是否所有系统组件都在正常运行，从而增强了安全性和可靠性。